体验监控异常分析

本文说明如何使用XDR故事工作台和故事深入分析页面来分析由体验监控异常引擎检测到的异常行为的XDR故事。

概述

Cato的XDR服务基于体验监控检测异常活动，这可能表明应用程序或网络到应用程序性能存在问题。异常引擎初始监控和分析每个站点和每个应用程序的网络流量，为期14天，根据TTFB（Time to First Byte）为每个新应用程序建立基准。

在该期间之后，引擎每天运行一次前一天的数据，以查看是否存在明显的基准偏差。如果发生异常，则会生成一个故事。

注意： 如果同一天发生多个偏差，则只会为所有偏差生成一个故事。

即使在建立基准之后，这也是一个动态测量，会随着每天的数据更新。也就是说，初始基准是在前14天后建立的，但继续随着每天的新数据演变。

当异常引擎生成故事时，您可以在Stories Workbench中查看并深入分析故事数据。

您可以在Stories Workbench中点击一个体验异常故事进行深入分析，并在不同页面上调查详细信息。此页面包含的附加信息可以帮助您开始对事件的调查。

请在Stories Workbench页面中点击一个体验异常故事以查看UEBA故事的详细信息。

要显示Stories Workbench页面：

这些是体验异常故事的小部件：

条目	名称	描述
1	故事摘要	故事的基本信息摘要，包括：异常名称检测到的问题指示生成故事的引擎故事发生的源站点站点与其通信的应用程序故事状态
2	详细信息	故事的基本详细信息，包括：描述和摘要首次信号 - 首个与异常相关的信号（流量）时间创建日期 - 故事生成的时间最后更新 - 最新故事更新的时间，例如新目标或更改的结论相似故事 - 显示具有相似详细信息的故事，如站点和应用程序。
3	体验异常小部件	故事当天的应用程序体验的视觉指示
4	连接详细信息小部件	提供关于连接路径上不同节点可能存在问题的信息

一旦掌握了异常的基本信息，包括发生的站点、应用程序和时间，您可以使用体验监控小部件进一步调查故事。

例如，您可以按应用程序过滤，并使用应用程序性能选项卡查看关于异常时可能发生的问题的更多信息。此外，您可以使用隧道选项卡查看是否存在隧道问题，或者您在主机选项卡上可以看到访问应用程序的用户数量激增，这可能导致体验下降。